Admon de Directivas de Grupo en Windows 2003 Server

Se ocurrió hacer este pequeño tutorial referente a la creación de directivas de grupo dentro de un domino en Windows 2003, con el objetivo de tener más control con los usuarios que se logean en el dominio.

Por ejemplo si quieres que los usuarios de cierto departamento dentro de tu dominio no puedan instalar-desinstalar ninguna aplicación en sus maquinas puedes crear un GPO (Group Policy objects) para no tener que hacerlo una por una de las maquinas solamente tienes que vincular la directiva de grupo a la unidad organizativa (UO) deseada y lixto, al momento de logearse el usuario al dominio y que este pertenezca a esa UO entonces se le aplicara esta restricción.

Primero lo primero, para hacer más sencilla la administración de las GPO es necesario instalar la Consola de Administración de Políticas de Grupo (GPMC.msi), la cual puede ser bajada desde el sitio de Microsoft :

http://www.microsoft.com/downloads/details.aspx?displaylang=es&FamilyID=0a6d4c24-8cbd-4b35-9272-dd3cbfc81887

Bueno una vez instalada se procede a crear la GPO dentro del GPMC, el cual puedes accesar poniéndole en ejecutar GPMC.msi.

Dentro del GPMC seleccionas la administración de directivas de grupo y te saldrá todo tu estructura que hayas creado dentro de tu AD(Active Directory) de tu dominio. Seleccionas la Unidad Organizativa (UO) que desees vincular el GPO y le das botón derecho y selecciona “Crear y vincular un GPO aquí”. Lixto ya créaste tu primera regla de GPO, ahora se procede a configurar esta Directiva de Grupo.

Lo primero que se debe de hacer es checar en la pestaña de ámbito que sí se encuentre en la ubicación en la que queremos que se aplique la directiva esto se encuentra en donde dice “Los siguientes sitios, dominios y unidades organizativas están vinculados a este GPO” y ya por ultimo checar en Filtrado de Seguridad donde dice “La configuración en este GPO sólo se puede aplicar a los grupos, usuarios y equipos siguientes”.

Una vez asignado el ámbito para la GPO se procede a configurar la directiva en la pestaña de configuración.

Dentro de esta se selecciona si se desea que las GPO se configuren al equipo o al usuario, en cada una de estas configuraciones tiene diferentes opciones así es que los invito para que revisen las 2 opciones haber cuales le sirven mas.

Bueno ya que decidieron si es por equipo o por usuario le dan click derecho sobre equipo por ejemplo y seleccionar “Edición”, paso seguido se abrirá el Editor de objetos de directiva de grupo, que es en el que trabajaremos para asignarles los permisos que deseamos a la GPO.

Como ejemplo configuraremos el servicio de WSUS (Windows Server Update Services), el cual sirve para configurar las computadoras para que se conecten a un servidor local para que realice las actualizaciones de Windows, con esto te evitas que todas las maquinas bajen independientemente las actualizaciones y consuman mucho ancho de banda en tu acceso de internet, por lo que al configurar este servicio tu server de WSUS es el único que bajas las actualizaciones de las maquinas que estén dadas de alta con esta directiva. Este tema del WSUS es muy extenso y realmente necesario si tienes un entorno de Windows con dominio pero aquí solo lo usare como ejemplo (haber si luego tengo tiempo y realizo un pequeño tutorial de esto).

Lo único que se configura aquí es donde dice “Configurar actualizaciones automáticas” se Habilita y se puede configurar para saber qué hacer cuando se tienen actualizaciones disponibles como “Notificar sólo para instalar”, etc. También los días de instalación de las actualizaciones y la hora.

De las opciones más importantes es la de “Especificar la ubicación del servicio Windows Update de la intranet” en donde se pone la dirección de tu servidor local que tiene instalador el WSUS .

Bueno aquí es donde habría que echarse un buen clavado para checar todas las opciones que tenemos y las diferentes combinaciones que podemos hacer y realmente te da el poder de si gustas restringir a un usuario que pertenezca a cierto grupo que solamente pueda entrar y abrir el notepad y no mas! Jeje claro que no creo que se necesiten tan drásticas medidas para controlar a los usuarios.

Al final ya que terminas cierras el editor y en el GPMC te sale en la pestaña de configuración un resumen de todo lo que configuraste.

Y lixto ya tienes creado una GPO vinculada a una UO, ahora cuando un usuario que pertenezca a dicho UO la computadora automáticamente carga las directivas y en este ejemplo todas las actualizaciones las va pedir a http://tuserverdeysus.tudominio.com/

Espero no haber echado tanto rollo y que les sirva de algo.

aBUR!!!!